“La création d’un comité IA véritablement multidisciplinaire est la clé de voûte de cette démarche”
Poussés par une quête de productivité accrue, les collaborateurs recourent de plus en plus à des solutions d’Intelligence Artificielle en dehors du contrôle de la DSI, un phénomène connu sous le nom de Shadow IA. Cela met en évidence un décalage flagrant : l’intégration de l’IA au sein des organisations progresse à un rythme supérieur à celui de la mise en œuvre des stratégies de sécurité. Ce qui ouvre grand la porte à des vulnérabilités inédites.
Mais au-delà des simples failles techniques, c’est toute la responsabilité juridique, financière et stratégique de l’entreprise qui est engagée. Et avec l’entrée en vigueur progressive de l’IA Act européen, l’encadrement de ces systèmes n’est plus une option, c’est une obligation légale.
Pour autant, comment reprendre le contrôle sans pour autant brider la capacité d’innovation des équipes ? Laurent Galvani, expert en cybersécurité chez TVH Consulting, nous donne ses conseils pour structurer une gouvernance de l’IA résiliente et conforme.
Shadow IA : les véritables risques au-delà de la simple fuite de données
L’utilisation d’outils d’IA sans la validation de l’entreprise expose l’organisation à un triptyque de risques critiques. Le premier danger, et sans doute le plus évident, réside dans la perte de maîtrise et la fuite de données. Lorsqu’un collaborateur soumet des informations sensibles (contrats, données RH, stratégies…) à des IA grand public, ces données peuvent venir alimenter des modèles tiers. L’enjeu n’est pas tant le piratage informatique classique que l’exposition volontaire (et non maîtrisée) du savoir-faire de l’entreprise.
À cette perte de contrôle s’ajoute le casse-tête de la propriété intellectuelle. Que se passe-t-il, par exemple, lorsqu’un développeur utilise une IA pour générer du code source destiné à un client ? Sans cadre défini, il devient très complexe de déterminer à qui appartient ce code et comment le maintenir dans le temps. C’est ainsi toute la chaîne de responsabilité juridique et la propriété des éléments générés (textes, images, code) qui se trouvent compromises.
De plus, l’usage incontrôlé de l’IA introduit de nouvelles menaces spécifiques en matière de cybersécurité. Outre la dépendance inquiétante envers des fournisseurs non audités, les entreprises font face à des vulnérabilités inédites telles que les attaques comme la prompt injection (la manipulation des requêtes pour contourner les règles de sécurité) ou l’empoisonnement des données (data poisoning).
À ces failles s’ajoute un enjeu lié à la gestion des identités et des accès (IAM) : lorsqu’un agent IA tourne de manière autonome sur le réseau, qui en est juridiquement et techniquement responsable ? À quelles bases de données ou applicatifs a-t-il réellement accès en arrière-plan ? Sans une traçabilité rigoureuse, une IA non encadrée peut obtenir des privilèges disproportionnés au sein du SI.
Ce panorama des menaces inclut également le risque de génération involontaire de code vulnérable, susceptible d’être intégré directement en production. Il faut enfin ajouter un risque financier non négligeable : une mauvaise maîtrise des coûts liés à l’usage de l’IA peut amener une entreprise à épuiser son budget annuel de tokens (jetons de consommation) en quelques mois seulement.
IA Act européen : un calendrier de conformité strict à anticiper
L’IA Act est aux systèmes d’Intelligence Artificielle ce que le RGPD est aux données personnelles, et impose des contraintes proportionnelles au niveau de risque des systèmes utilisés. Entré en vigueur dès le début de l’année 2025 concernant l’interdiction des applications présentant un risque inacceptable, il franchit une nouvelle étape en août 2026. À cette date, des obligations deviennent applicables aux systèmes qualifiés de haut risque, avant un déploiement complet et progressif prévu d’ici 2027.
« Il n’y a pas de bon moment pour démarrer sa mise en conformité face à l’IA Act européen. Le meilleur moment, c’était hier. Le deuxième meilleur moment, c’est aujourd’hui. »
Pour se mettre en conformité, nous recommandons une méthode structurée en 5 étapes :
- Cartographier les usages, les outils utilisés, les fournisseurs et les données manipulées.
- Classifier ces cas d’usage selon les critères de l’IA Act (risque minimal, limité, haut risque, interdit).
- Analyser les risques sous le prisme cyber, mais aussi éthique, métier et conformité légale.
- Mettre en place la gouvernance via des rôles définis (référent IA) et un comité dédié.
- Formaliser et documenter les processus, la politique d’IA, les chartes et le registre des systèmes.
La gouvernance ne doit pas étouffer l’innovation : les piliers d’une stratégie efficace
Interdire purement et simplement l’IA est une utopie. Si vous bloquez l’accès sur le réseau d’entreprise, le collaborateur utilisera son smartphone personnel pour interroger une IA grand public. L’enjeu d’une bonne gouvernance est donc de trouver le juste équilibre : protéger l’entreprise tout en offrant des alternatives sécurisées. Le premier rempart de cette stratégie repose sur l’acculturation et la formation des collaborateurs. Il est en effet essentiel que les équipes comprennent les risques liés à leurs usages et soient formées aux bons outils, avec une approche ciblée selon les profils, qu’il s’agisse de consultants métiers, de fonctions supports (RH, Finance) ou d’équipes IT.
Cet effort de sensibilisation doit s’accompagner de mesures techniques adaptées. L’encadrement technologique passe notamment par des solutions de contrôle d’accès et le déploiement d’outils de DLP (Data Loss Prevention).
“À titre d’exemple, des solutions comme Microsoft Purview permettent de classifier l’information en temps réel et de bloquer automatiquement la saisie de données sensibles, telles qu’un RIB ou une adresse personnelle, dans des assistants IA comme Copilot”.
Enfin, la réussite de cette gouvernance dépend largement de l’écoute des métiers. La DI ne doit plus être perçue comme une simple entité de contrôle, mais se positionner comme un véritable partenaire. En comprenant précisément les besoins des utilisateurs, elle devient capable de leur fournir des environnements d’IA d’entreprise centralisés et sécurisés. C’est avec ces alternatives fiables que les collaborateurs pourront gagner en productivité sans ressentir le besoin de contourner les règles établies.
Comité IA et charte d’usage : qui asseoir autour de la table ?
La sécurité liée à l’usage de l’IA est trop complexe pour être reléguée au seul département informatique. Pour rédiger une charte d’usage pertinente, applicable et surtout respectée par l’ensemble des collaborateurs, il faut sortir de l’approche en silo. La création d’un comité IA véritablement multidisciplinaire est la clé de voûte de cette démarche. La difficulté ici est de réussir à n’oublier personne, car chaque expertise est indispensable à la réussite du projet.
L’impulsion doit impérativement venir d’en haut. L’implication de la Direction Générale est essentielle : c’est elle qui valide les engagements, donne le cap stratégique et insuffle la dynamique. Sans ce parrainage fort, toute politique IA manquera de poids et peinera à s’imposer face aux habitudes des collaborateurs. Dans son sillage direct, la DSI (et le RSSI) prend en charge le pilotage technique. Son rôle est de traduire cette vision stratégique en une architecture solide, capable de garantir la sécurité opérationnelle et le contrôle des accès aux différents modèles de langage.
Mais la technique ne suffit pas face aux risques légaux. Le service juridique s’avère souvent être le grand oublié de ces initiatives. Il est pourtant en première ligne pour anticiper les litiges liés à la propriété intellectuelle (qui détient les droits d’un code ou d’un texte généré ?) et verrouiller les contrats avec les fournisseurs de solutions IA. À ses côtés, le DPO (Délégué à la protection des données) veille à ce que l’enthousiasme technologique ne se fasse pas au détriment de la vie privée et des obligations liées au RGPD.
Enfin, les Ressources Humaines, les responsables métiers et les directeurs des fonctions support (Finance, Marketing, etc.) doivent avoir voix au chapitre, car ce sont eux qui portent les véritables cas d’usage opérationnels au quotidien. C’est particulièrement vrai pour les projets d’intégration de l’IA au cœur des systèmes d’information critiques, qu’il s’agisse d’automatiser des processus dans un ERP (comme Microsoft Dynamics 365 Business Central ou SAP ou d’optimiser la relation client via un CRM (comme Salesforce ou Microsoft Dynamics 365). En les intégrant dès la genèse de la charte d’usage, l’entreprise s’assure de ne pas créer un règlement hors-sol. Cette démarche collaborative permet non seulement de comprendre leurs contraintes réelles, mais surtout de susciter leur adhésion.
Format citation : “C’est en devenant co-constructeurs du cadre de sécurité IA que les métiers en deviendront les meilleurs ambassadeurs”.
Bien entendu, dans les structures où ces expertises ne sont pas toutes présentes en interne (RSSI, juridique…), le recours à un référent externe reste une excellente alternative pour sécuriser la démarche.
Évaluer sa maturité : passer à l’action
Si un dirigeant ou un RSSI souhaite aujourd’hui évaluer sa maturité face à ces enjeux, la première étape est de réaliser un diagnostic à 360°. Il ne s’agit pas seulement d’un audit technique, mais d’une véritable introspection organisationnelle. L’entreprise doit s’interroger objectivement sur l’existence d’une politique claire encadrant l’IA, sur sa réelle maîtrise des usages quotidiens (jusqu’où s’étend la Shadow IA dans les différents services ?), et sur la solidité des barrières protégeant ses données critiques. Ce premier état des lieux est essentiel pour définir un point de départ réaliste.
Toutefois, mener cette évaluation en interne comporte souvent des biais. Faire appel à un tiers de confiance externe s’avère alors stratégique à ce stade. Un expert apporte non seulement une crédibilité supplémentaire pour porter le message auprès des instances dirigeantes, mais il offre surtout une vision décloisonnée. Fort de son expérience terrain, il confronte l’entreprise aux véritables standards du marché et partage des retours d’expérience éprouvés, permettant ainsi de gagner un temps précieux dans la mise en conformité. Voici le panorama des principales offres pour accompagner cette démarche :
- Audits de diagnostic complets : une évaluation approfondie de vos usages actuels (détection de la Shadow IA) et de votre niveau de sécurité global pour établir une cartographie claire de vos risques.
- Accompagnement à la mise en conformité IA Act : de la classification de vos systèmes IA à la création d’un registre documentaire complet, en passant par les analyses d’impact requises par la réglementation européenne.
- Prestation de référent IA externalisé : un accompagnement à la carte (AI Officer ou RSSI spécialisé) pour piloter votre comité IA, assurer une veille réglementaire continue et structurer vos processus sans alourdir vos effectifs internes.
- Déploiement de packages de gouvernance : une offre clé en main alliant le paramétrage technique et sécuritaire d’un outil (ex: Microsoft 365 Copilot), la rédaction de votre charte d’usage spécifique et la formation de vos utilisateurs finaux.
